Setelah kemarin muncul virus Wanna Cry, kini muncul ransomware baru yang di namakan NOTPETYA, saya akan coba share informasi dari forum CISO (Chief Of Information Security Officer) EC Council dan dari berbagai sumber lain mengenai ransomware jenis ini.
Menurut para ahli, meskipun ransomware ini mirip seperti virus PETYA yang pertama kali muncul di tahun 2016, ditenggarai bahwa strain ini adalah jenis yang sama sekali baru. Oleh Karena para periset menamainya dengan NOTPETYA, sementara para periset yang lain menggolongkannya sebagai perangkat lunak GoldenEye ( Petya + Mischa).
Sejauh ini, sebagian besar infeksi telah terjadi di Ukraina dan Rusia, namun beberapa nama besar di Barat juga menderita. Misalnya saja media periklanan internasional WPP dilaporkan telah mengalami offline akibat serangan ini, firma hukum global DLA Piper juga dilaporkan terinfeksi. Biro pengiriman Maersk memperingatkan adanya pemadaman di seluruh dunia yang benar-benar dapat membumbui pasar global. Rantai pasokan transportasi Terminal komputer di pelabuhan utama disibukkan berjam-jam oleh malware.
Di Ukraina sendiri, yang tampaknya menjadi titik nol bagi serangan tersebut, situasinya sangat penting. Sejumlah besar bisnis telah tertanam oleh perangkat lunak jahat, dan telah mematahkan sistem pemantauan radiasi otomatis di Chernobyl, yang berarti beberapa ilmuwan harus mengambil pembacaan secara manual untuk saat ini.
Menurut polisi cyber di Ukraina, terdapat email phishing yang dilampiri malware, pada awalnya perusahaan perangkat lunak keuangan MeDoc digunakan untuk menginfeksi komputer di negara bekas Soviet tersebut.
Mengacu pada situs the register para pelakunya berhasil mengkompromikan pembaruan perangkat lunak untuk produk biz, yang banyak digunakan di negara ini, sehingga saat diunduh dan dipasang oleh korban, jaringan mereka terkontaminasi dengan NotPetya. Jika software ini berjalan dengan akses admin domain, maka akan segera selesai sudah semuanya.
Masih dari situs yang sama pembuat perangkat lunak pajak tersebut mengaku telah melakukan hacking namun mengatakan update software terakhir dikirim pada 22 Juni, tepat sebelum serangan hari Selasa. Namun, polisi mengatakan bahwa pada tanggal 27 Juni, server pembaruan - upd.me-doc.com.ua - mendorong unduhan 333KB ke pelanggan yang membongkar RUNDLL32.EXE yang berisi kejahatan NotPeyta.
Ransomware ini menyebar melalui kombinasi sisi klien gabungan (CVE-2017-0199) dan ancaman berbasis jaringan (MS17-010). Ini menyebar dengan cepat menggunakan ETERNALBLUE (MS17-010), sementara hash hash dan psexec dipanen sebagai vektor infeksi dari setiap mesin yang terinfeksi.
Proses Infeksi
- Tiba melalui update ke sistem akuntansi di Ukraina (ME Doc)
- Menyebar seperti worm dari mesin yang terinfeksi
- Exploited kerentanan Windows SMB (alias EternalBlue), perbaiki oleh Microsoft dilepaskan (MS17-010)
- Menyebar ke dalam jaringan lokal menggunakan Blue Abadi, psexec, WMIC
- Mengenkripsi tabel MFT (Master File Tree) untuk partisi NTFS
- Menimpa MBR (Master Boot Record) dengan bootloader kustom
- Menunjukkan catatan tebusan yang menuntut USD 300, Dompet bitcoin yang sama
- Mencegah korban dari booting komputer mereka.
- Enskripsi Hard drive lokal.
Tidak ada jaminan pemulihan file sebagai email (wowsmith123456@posteo.net) sudah tidak berlaku lagi. Ini sebenarnya kemungkinan besar bukan ransomware melainkan malware perusak destruktif yang paling berbahaya yang disamarkan sebagai uang tebusan. Pembacaan kode yang dilakukan  menunjukkan tidak ada jalan bagi data untuk dipulihkan, kecuali hanya hancur.
Panduan yang di sarankan oleh Tim EC Council adalah sebagai berikut:
- Melaksanakan Indicent Response Scanner (IOC) ke Security Operation Center(SoC) dan reaksi kejadian tepat waktu IOC terperinci
- Menghapus log peristiwa windows menggunakan Wevtutil
- Indikator yang terdeteksi bahwa file adalah alat ransom
- Nonaktifkan reboot otomatis
- Mencegah hak istimewa admin lokal untuk operasi pengguna normal
- Hindari SMB (Port 445) dan RDP di server [Bimbingan]
- Nonaktifkan SMB1 atau Cekal lalu lintas yang masuk ke port 445
- Kill Switch: Buat file dalam% windir% yang disebut perfc.dat, mencegah pembuatan file perfc.dat oleh Malware. Deny menulis permisi ke perfc.dat.
- Jika terinfeksi Laporkan ke petugas penegak hukum dan ISAC (jika ada)
- Aktifkan rencana respons insiden Anda
